Surface d'attaque principale : le flux SSO (JWT forgé, replay) et les routes NestJS non-guardées.

Anti-replay JWT

Statut : stable Périmètre : article1-connect

• Chaque auth_req_token contient un jti unique stocké dans UsedJtis après consommation
• Un token expiré ou déjà consommé est rejeté — pas de session partagée côté serveur
• jti lié à l'email user dans la table pour audit

Signature RSA inter-plateformes

Statut : stable Périmètre : transverse

• Chaque plateforme a une paire de clés RSA : elle signe ses tokens avec sa privée, A1Connect vérifie avec sa publique
• A1Connect signe ses réponses avec sa propre clé privée — les plateformes vérifient avec la clé publique A1Connect
• Les clés ne sont pas des secrets symétriques partagés

RBAC NestJS

Statut : stable Périmètre : transverse

• JwtAuthGuard : toute route qui n'est pas explicitement publique doit le porter
• UserRolesGuard + @Roles(UserRoleEnum.X) pour la granularité par rôle
• Les routes admin ont des contrôleurs dédiés — la séparation est architecturale, pas seulement par guard

Vulns connues / dette sécurité

Statut : à compléter au fil des audits Périmètre : transverse